Hotjar et RGPD : consentement et masquage

Une visite rejouée écran par écran, et qui la garde

La CNIL décrit ces outils comme des technologies qui capturent et donnent à revoir tout le parcours de navigation d'un utilisateur. Au-delà des pages visitées, ils permettent de revoir les mouvements de souris, les clics ou les gestes tactiles, le défilement et les saisies du visiteur. Celui qui regarde l'enregistrement assiste à la visite d'une personne, écran par écran.

Elle en nomme les risques : un suivi permanent qui peut révéler les habitudes, les centres d'intérêt et, selon le site, des données sensibles ; une collecte plus large que ce que le but poursuivi justifie. Le niveau de risque dépend de la nature du site, donc de ce que ses pages montrent et demandent.

Le fournisseur de l'outil compte aussi. S'il se contente de vous fournir l'outil, il agit pour votre compte. S'il réutilise les enregistrements pour ses propres fins, par exemple pour améliorer son produit, il devient responsable de ces traitements, et vous partagez avec lui la responsabilité de la collecte. Les enregistrements partent sur ses serveurs : Microsoft Clarity est exploité par une société de droit américain, ce qui ajoute la question des données qui quittent l'Union pendant une visite.

Le projet de recommandation de la CNIL, février 2026

Le 25 février 2026, la CNIL a publié un projet de recommandation sur les outils de rejeu de session, soumis à consultation jusqu'au 22 avril 2026. Elle adoptera une version définitive après avoir examiné les contributions ; tant qu'elle n'est pas publiée, le texte reste un projet. Il s'appuie sur une règle déjà en vigueur : l'article 82 de la loi Informatique et Libertés, qui transpose la directive européenne dite ePrivacy.

Sur le consentement, le projet est net : ces outils sont soumis au consentement préalable du visiteur, parce que l'enregistrement n'est pas nécessaire pour lui fournir le service. L'accord peut passer par le bandeau que vous avez déjà, à condition d'y présenter chaque finalité sous un intitulé court suivi d'une brève description. La CNIL encourage à signaler l'enregistrement dès le premier écran du bandeau. Retirer son accord doit être aussi simple que le donner, et l'enregistrement doit alors cesser.

Le projet décrit aussi des réglages, que le fournisseur doit rendre possibles et que vous choisissez :

• le masquage des formulaires, des champs de texte, des images et des champs remplis automatiquement, appliqué par défaut à tout quand rien n'est configuré ;
• le blocage des mots de passe et des données bancaires ;
• des sessions limitées à un échantillon, ou aux cas où survient un événement défini ;
• une durée de conservation adaptée au but, de quelques heures après la session pour le service client à quelques mois pour corriger des erreurs ou améliorer un parcours.

Il écarte le reciblage publicitaire, pour lequel des solutions moins intrusives existent.

L'empreinte du navigateur n'échappe pas à la règle

Certains outils suivent un visiteur sans rien déposer : ils calculent une empreinte à partir des caractéristiques de son navigateur et de son appareil. Les lignes directrices de la CNIL sur les cookies et autres traceurs, adoptées le 17 septembre 2020, citent ce « calcul d'empreinte du terminal » parmi les techniques que vise l'article 82. L'absence de cookie ne change donc pas la règle : le consentement reste dû, hors des exemptions prévues par le texte.

Le Comité européen de la protection des données va dans le même sens dans ses lignes directrices 2/2023 sur la portée technique de la directive ePrivacy. La règle ne vise pas que les cookies, et l'empreinte du terminal en relève, comme d'autres techniques de suivi apparues pour les remplacer.

Les réglages à exiger de qui a installé l'outil

Ces décisions se prennent avec la personne qui a installé l'outil, agence ou développeur, et avec celle qui regarde les enregistrements.

1. Décidez à quoi sert l'enregistrement avant de l'activer : corriger des erreurs, améliorer un parcours, aider le service client. La CNIL demande que le but soit fixé en amont, jamais d'après ce que l'on découvre en regardant les sessions. Si une mesure d'audience classique suffit à ce but, son projet demande de la préférer.
2. Faites charger l'outil seulement après l'accord du visiteur. Demandez qu'il soit rattaché à votre bandeau de consentement sous un intitulé qui dit ce qu'il fait, et qu'un refus l'empêche de démarrer.
3. Exigez le masquage des saisies et le blocage des mots de passe et des données bancaires. Ces réglages vivent dans le compte de l'outil, pas sur vos pages : demandez qu'on vous les montre pour chaque page sensible, comme l'espace client, la commande ou le formulaire de contact.
4. Réduisez ce qui est gardé : un échantillon de sessions plutôt que toutes, ou seulement celles où une erreur survient, et une durée de conservation qui correspond au but.
5. Lisez le contrat du fournisseur. S'il réutilise les enregistrements pour ses propres fins, la CNIL demande une répartition claire des obligations entre vous, notamment pour l'information des visiteurs.
6. Faites nommer dans votre politique de confidentialité l'outil qui se charge vraiment, et retirez-le quand il ne sert plus : un script oublié continue de se charger sur chaque page.

Rattacher l'outil au bandeau est en général un réglage. Le masquage demande plus de travail sur un site riche en formulaires, puisque chaque champ sensible, présent ou à venir, doit être couvert.

Avant toute réponse, après un refus, après un accord

Ce pourcentage porte sur une trentaine de sites audités entre le 14 août 2026 et le 24 septembre 2026, ceux où le point a pu être vérifié. Beaucoup ont été audités parce qu'un défaut s'y voyait vite : le chiffre décrit nos audits, pas l'ensemble des sites.

Ce chiffre vient de la première des trois visites de l'audit. Il ouvre votre site dans un navigateur neuf, sans répondre au bandeau de consentement, et parcourt la page jusqu'à son pied, ce qui déclenche aussi les scripts chargés en différé. Il relève chaque service que le navigateur contacte. Les outils d'enregistrement de session sont reconnus à leur adresse : Hotjar, Microsoft Clarity, FullStory, Mouseflow, Lucky Orange ; un service d'empreinte connu, FingerprintJS, l'est de la même façon. Si l'un d'eux est contacté avant toute réponse du visiteur, le rapport le compte comme un défaut de conformité.

Deux autres visites suivent, chacune dans un navigateur neuf : l'une après un clic sur le refus, l'autre après un clic sur l'acceptation. Elles séparent un outil branché sur le consentement d'un outil qui démarre quoi que réponde le visiteur. Le clic n'est retenu comme un refus que sur un libellé de refus franc, et seulement si le bandeau disparaît ensuite ; sinon, le point est déclaré non vérifiable.

Le rapport anonymisé d'une boutique d'articles de sport montre le réglage attendu. Microsoft Clarity n'y démarre qu'après acceptation, et rien de tel ne se charge après un refus. Le rapport ne retient donc aucun défaut ; il recommande seulement de mentionner l'enregistrement dans la politique de confidentialité.

L'exemple publié d'un site vitrine B2B rend l'autre verdict : ni enregistrement de session, ni empreinte du navigateur. Ce n'est pas un site sans suivi pour autant. Avant tout choix, ses pages contactent 29 domaines tiers, dont un outil qui identifie les entreprises visiteuses, et sa politique de confidentialité en cite un autre, donné en exemple. Le rapport traite ces services comme des traceurs déposés avant consentement, sous leur propre question, sans les confondre avec un enregistrement de session.

Chaque outil relevé est nommé dans le rapport, avec la société qui l'exploite et le droit dont elle relève. La personne qui l'a installé sait ainsi quoi rattacher au bandeau, ou quoi retirer.